მთავარი დასკვნა
განსაზღვრეთ მონაცემების, სერვისისა და ორგანიზაციული როლის ფარგლები, შემდეგ კონტროლი რეალურ კონფიგურაციასა და განსახილველ მტკიცებულებებს დაუკავშირეთ.
ღრუბლოვანი შესაბამისობა და ღრუბლოვანი უსაფრთხოება
ღრუბლოვანი შესაბამისობა ინფრასტრუქტურას, აპლიკაციებსა და მონაცემთა დამუშავებას მოქმედ წესებს, ხელშეკრულებებსა და კონტროლის ჩარჩოებს უსადაგებს. უსაფრთხოება აქტივებს იცავს; შესაბამისობა ადასტურებს, როგორ აკმაყოფილებს ეს დაცვა განსაზღვრულ მოთხოვნას. დინამიკურ ანგარიშებს, კონტეინერებსა და ხანმოკლე რესურსებს დანერგვისა და ცვლილების მთელი პროცესის განმავლობაში შემოწმება სჭირდება, რაც აუდიტისთვის მომზადებას, უწყვეტობასა და მომხმარებლისთვის გარანტიების წარდგენას უწყობს ხელს.
განსაზღვრეთ მოთხოვნები და მონაცემთა ნაკადები
დაახარისხეთ პირადი, ფინანსური და სხვა მგრძნობიარე მონაცემები. აღწერეთ შეგროვება, დამუშავება, სარეზერვო ასლები, შენახვის რეგიონები, გადაცემები და წაშლა. მომწოდებელთან ხელშეკრულებამდე შეამოწმეთ ხელმისაწვდომი რეგიონები და სამუშაო დატვირთვის გადატანადობა. ყველა მოთხოვნა რესურსს, კონტროლზე პასუხისმგებელ პირს, მტკიცებულებასა და გადახედვის სიხშირეს დაუკავშირეთ, რათა ვალდებულებები საოპერაციო ამოცანებად იქცეს.
განასხვავეთ რეგულაციები და ჩარჩოები
GDPR ეხება ევროკავშირში დაფუძნებული დაწესებულებების საქმიანობასა და ევროკავშირში მყოფ პირებთან დაკავშირებულ განსაზღვრულ შეთავაზებას ან მონიტორინგს. HIPAA აშშ‑ის რეჟიმია განსაზღვრული მოცული სუბიექტებისა და ბიზნესპარტნიორებისთვის; PCI DSS საგადახდო ბარათების გარემოებს ეხება. ISO/IEC 27017 ღრუბლოვანი კონტროლის დანერგვის მითითებებს იძლევა, SOC 2 Type II პერიოდის განმავლობაში სერვისის კონტროლზე ანგარიშგებას უზრუნველყოფს, CIS Benchmarks კი გამაგრების მითითებებს გვთავაზობს. FedRAMP აშშ‑ის ფედერალური ღრუბლის გამოყენების პროგრამაა; EU Cloud CoC ღრუბელში მონაცემთა დამუშავების კოდექსია. განასხვავეთ კანონი, სახელშეკრულებო სტანდარტი, მითითება და სანდოობის დადასტურება და თითოეული ინსტრუმენტის ფარგლები დაადგინეთ.
აღწერეთ დარგობრივი მოთხოვნები
ფინანსების, ჯანდაცვის, სახელმწიფო სექტორისა და საცალო ვაჭრობის მოთხოვნები ცალ-ცალკე აღწერეთ. GLBA და SOX, HIPAA/HITECH, NIST SP 800-53 და FedRAMP, PCI DSS და CCPA გამოიყენეთ საქმიანობის, დამუშავების როლის, ხელშეკრულებებისა და იურისდიქციის მიხედვით გამოსაკვლევ მაგალითებად. დარგის დასახელება ყველა კომპანიას ერთსა და იმავე ვალდებულებებს არ აკისრებს. საგადახდო ბარათების დამუშავება პერსონალურ მონაცემთა ვალდებულებებისგან გამიჯნეთ და შერჩეული მოთხოვნები რეალურ სამუშაო დატვირთვას დაუკავშირეთ.
გადახედეთ მომწოდებლებსა და გაზიარებულ პასუხისმგებლობას
შეამოწმეთ მომწოდებლის ანგარიშებისა და სერტიფიკატების ფარგლები, დაფარული სერვისი და პერიოდი; Cloud Security Alliance CCM‑ს შეუძლია სათანადო შემოწმების კითხვების სტრუქტურირება. IaaS‑ის, PaaS‑ისა და SaaS‑ისთვის აშკარად განსაზღვრეთ პასუხისმგებლობები ოპერაციულ სისტემაზე, აპლიკაციაზე, იდენტობაზე, გასაღებსა და მონაცემებზე. კერძო ან ჰიბრიდულ დანერგვასაც ხელშეკრულებაზე მორგებული პასუხისმგებლობის რუკა სჭირდება. მომწოდებლის მტკიცებულება მომხმარებლის მიერ მართვადი კონტროლის მტკიცებულებას უნდა შეუთავსდეს.
დანერგეთ წვდომისა და კონფიგურაციის კონტროლი
როლები ბიზნესსაჭიროებით შეზღუდეთ, შესაბამის ადამიანურ წვდომას MFA დაუმატეთ და არააქტიური ანგარიშები დახურეთ. სამუშაო დატვირთვების იდენტობებს შესაბამისი ავტორიზაციის მონაცემების, უფლებებისა და სასიცოცხლო ციკლის კონტროლი მიანიჭეთ. დაშიფრეთ მონაცემები გადაცემისა და შენახვისას, გასაღებზე განსაზღვრული პასუხისმგებლობით, როტაციითა და აღდგენით. ცალკე შეამოწმეთ საჯარო საცავები, ქსელის უფლებები და გამჟღავნებული საიდუმლოებები. აპლიკაციის მოწყვლადობებსა და DDoS‑ს აპლიკაციისა და ქსელის კონტროლი სჭირდება; დაშიფვრა მათ ვერ ასწორებს.
მდგომარეობის უწყვეტი შემოწმებისთვის გამოიყენეთ CSPM
CSPM ანგარიშებისა და სერვისების კონფიგურაციებს კონტროლის მოთხოვნებს ადარებს, გადახრებზე ატყობინებს და აღმოჩენებს რესურსებზე პასუხისმგებელ პირებს გადასცემს. გავლისა თუ ჩავარდნის შედეგებთან ერთად აღრიცხეთ დაფარვა და გამონაკლისები. ავტომატური გამოსწორება დაუშვით მხოლოდ იმ წესებისთვის, რომელთა გავლენა გასაგებია და უკუგება შემოწმებულია; ცვლილების ჩანაწერი შემდგომი გადახედვისთვის შეინახეთ.
დანერგვამდე შეამოწმეთ IaC და კოდით განსაზღვრული პოლიტიკა
CI/CD‑ში ინფრასტრუქტურის შაბლონები საჯარო საცავების, ჭარბი უფლებებისა და აუცილებელი დაშიფვრის მხრივ შეამოწმეთ. OPA‑ს მსგავსი პოლიტიკის ძრავა წესების თანმიმდევრულ ხელახალ გამოყენებას უწყობს ხელს. SBOM პროგრამულ კომპონენტებს განსაზღვრავს; მიწოდების ჯაჭვისა და მოწყვლადობების გადახედვა კონფიგურაციის შემოწმებებს შეუთავსეთ და კომპონენტების სიას შესაბამისობის სრულ შემოწმებად ნუ მიიჩნევთ. დანერგვის გამონაკლისებს დამტკიცება და ვადა მოსთხოვეთ.
დააკვირდით მოვლენებსა და ღრუბლოვან უფლებებს
წვდომა, ადმინისტრაციული ცვლილებები და უსაფრთხოების მოვლენები SIEM‑ში გაგზავნეთ. უცნობი IP მისამართები ან უჩვეულო საათები მომხმარებლისა და აქტივობის კონტექსტით გამოიკვლიეთ. CIEM ეფექტიანი ღრუბლოვანი უფლებებისა და ჭარბი პრივილეგიების ხილვადობას უზრუნველყოფს. როგორც ადამიანების, ისე სერვისების იდენტობებისთვის განსაზღვრეთ გადახედვა, ესკალაცია და გაუქმება, გადაწყვეტილებებზე პასუხისმგებელი მართვის პირებით.
მოამზადეთ მართვის პანელები და აუდიტის მტკიცებულებები
პანელებზე აჩვენეთ მოთხოვნის სტატუსი, შეფასებული ანგარიშები, შეუსრულებელი კონტროლი და ღია გამონაკლისები. ექსპორტირებადი ანგარიშები კონფიგურაციებს, ჟურნალებს, დამტკიცებებსა და გამოსწორების დავალებებს დაუკავშირეთ. შეათანხმეთ აუდიტის ფარგლები, მოაწყვეთ შესაბამისი დამოუკიდებელი გადახედვა, შეაგროვეთ მტკიცებულებები და რეკომენდაციებს პასუხისმგებელი პირები მიუჩინეთ. გადახედეთ როგორც უსაფრთხოების ხარვეზებს, ისე ოპერაციულ საკითხებს, მაგალითად სიმძლავრის ფლანგვას; დასრულებას ხელმძღვანელობამ ადევნოს თვალი.
მოაგვარეთ ხილვადობისა და კოორდინაციის ხარვეზები
ჰიბრიდული და მრავალღრუბლოვანი დანერგვები ხილვადობას ანგარიშებს, გუნდებსა და სერვისებს შორის ფრაგმენტებად ყოფს. მოძებნეთ დაუმტკიცებელი SaaS, საცავის არასწორი წვდომის უფლებები და მტკიცებულებების ხელით შეგროვების ხარვეზები. ანგარიშის შექმნა ინვენტარს, ჟურნალების წარმოებასა და კონტროლის შაბლონებს დაუკავშირეთ და IT‑ს, უსაფრთხოებისა და ბიზნესგუნდებისთვის ერთი გამოსწორების სამუშაო პროცესი გამოიყენეთ. სამუშაო დატვირთვებისა თუ მოთხოვნების ცვლილებისას შესაბამისობებს ხელახლა გადახედეთ.
ავტომატიზაცია ანგარიშვალდებულ გადაწყვეტილებებს დაუკავშირეთ
ავტომატიზაციას შეუძლია წესების დარღვევის აღმოჩენა, გადახრების ანალიზი და მტკიცებულებების შეგროვება. ცვლილებების გადაწყვეტილებები უფლებამოსილ პასუხისმგებელ პირს დაუტოვეთ; დაბალი რისკის შესწორებებსაც სჭირდება დამტკიცებული ფარგლები და უკუგების გეგმა.
გადაამოწმეთ აღმოჩენა
შეტყობინება ან AI‑ის წინადადება რეალურ რესურსს, კონტროლსა და შეფასების ფარგლებს შეუდარეთ.
დაუშვით ცვლილება
შეაფასეთ სერვისზე გავლენა, განსაზღვრეთ უფლებამოსილი დამმტკიცებელი, უკუგების გეგმა და ავტომატიზაციის საზღვრები.
ხელახლა შეამოწმეთ შედეგი
შეინახეთ ცვლილებამდელი და ცვლილებისშემდგომი მტკიცებულებები, მოუგვარებელი ხარვეზები და განმეორებები; აღრიცხეთ მტკიცებულებების სისრულე.